Impianti idrici nel mirino: le 5 pratiche CTEM da adottare subito

Il Cyber Threat Exposure Management offre agli operatori idrici un metodo strutturato per colmare il divario tra minacce in rapido aumento e difese spesso ferme al passato. Una distanza che è emersa con chiarezza già dodici anni fa, quando l’incidente alla diga di Bowman ha mostrato quanto siano vulnerabili i nostri sistemi idrici.

Vulnerabilità crescenti nei sistemi idrici moderni

Quell’attacco risale a molti anni fa, ma da allora non è cambiato molto. La tecnologia ha fatto passi da gigante, gli aggressori dispongono oggi di strumenti molto più sofisticati e la posta in gioco è cresciuta enormemente eppure, gran parte delle nostre difese è rimasta ferma al passato.

Oggi basta poco per compromettere il corretto funzionamento di un sistema. Un singolo errore di configurazione in un ambiente SCADA può influire sulla qualità dell’acqua potabile, mentre un’interruzione in un impianto di trattamento delle acque reflue può compromettere i processi di depurazione. Si tratta di scenari concreti, già osservati in passato. Con l’introduzione dell’intelligenza artificiale, inoltre, le tecniche di attacco si stanno evolvendo: gli aggressori utilizzano strumenti sempre più automatizzati per individuare vulnerabilità e inserire backdoor a livello di codice, rendendo più complesso il lavoro dei team di difesa.

Stati-nazione e attacchi alle infrastrutture idriche europee e americane

In Europa, per esempio, hacker legati alla Russia hanno colpito ripetutamente le infrastrutture idriche, aprendo valvole, allagando sistemi, diffondendo sui social media le prove dei loro accessi. In Polonia, le aziende idriche subiscono oggi circa 300 attacchi al giorno, un numero triplicato rispetto all’anno scorso. I servizi di intelligence norvegesi hanno confermato che un gruppo di hacker è riuscito a controllare una valvola di una diga per quasi quattro ore. E anche qui negli Stati Uniti, presunti hacker russi hanno provocato il traboccamento di un serbatoio d’acqua in Texas – un episodio avvenuto di recente, nel 2024.

Test sistematici contro le infrastrutture più deboli

Questi non sono attacchi improvvisati: si tratta piuttosto di test di che sondano i punti deboli dei nostri sistemi più essenziali, spesso in piccole città dove i budget per la cybersecurity sono estremamente limitati. Ogni incursione riuscita mina la fiducia del pubblico e evidenzia le falle strutturali del sistema.

I limiti dell’inventario degli asset tradizionale

Di recente, la CISA ha nuovamente invitato gli operatori delle infrastrutture critiche ad adottare inventari completi degli asset OT. È un passo importante, ma sia gli aggressori sia la comunità della cybersecurity dovrebbero essere ormai ben oltre questo punto. Un inventario degli asset è solo la base di partenza: serve a sapere cosa si trova all’interno di un impianto di trattamento dell’acqua. Ma non indica quali di quegli asset siano vulnerabili, come siano collegati tra loro, quali rischi siano più rilevanti o in che modo un aggressore potrebbe muoversi una volta all’interno del sistema.

Nel frattempo, l’intelligenza artificiale continua a evolversi rapidamente. Gli Stati-nazione la utilizzano per individuare vulnerabilità con una velocità superiore a quella umana, per sviluppare malware in grado di modificarsi autonomamente e, in alcuni casi, per introdurre codice potenzialmente dannoso all’interno di progetti open source. In questo contesto, le organizzazioni che si concentrano ancora solo sulla catalogazione degli asset rischiano di trovarsi già un passo indietro rispetto alle pratiche più avanzate di sicurezza.

Il Cyber Threat Exposure Management come soluzione moderna

Ed è qui che entra in gioco il Cyber Threat Exposure Management (CTEM). Non si tratta semplicemente di tenere un inventario degli asset, ma di monitorare e valutare in modo continuo le vulnerabilità più critiche, così da poter intervenire tempestivamente. Questo approccio consente ai servizi pubblici di prevenire i rischi e di mantenere il controllo prima che eventuali attori ostili possano sfruttare le loro infrastrutture a fini malevoli.

Cinque pratiche fondamentali per la gestione dell’esposizione

Cinque pratiche fondamentali che gli impianti idrici devono adottare per migliorare la gestione dell’esposizione alle minacce informatiche:

• Visibilità completa oltre l’IT – L’80% delle aziende di servizi idrici intervistate dall’AWWA nel 2023 ha ammesso di non disporre di un inventario completo degli asset informatici. Bisogna smettere di considerare OT e SCADA come “troppo sensibili per essere toccati”.È tempo di superare l’idea che i sistemi OT e SCADA siano “troppo sensibili per essere toccati”. Oggi esistono tecnologie, come lo smart active querying, che consentono di mappare e verificare in modo sicuro tutti gli asset digitali, senza interferire con le operazioni. Per garantire sicurezza e continuità, gli impianti idrici devono disporre di una visibilità unificata e costante su ambienti IT, OT, IoT e BMS, arricchita da informazioni di rischio aggiornate in tempo reale.
• Prioritizzazione continua basata sul rischio – Non tutte le vulnerabilità meritano la stessa attenzione. Per esempio, un PLC di controllo valvole con una vulnerabilità CVE non corretta rappresenta una priorità più alta rispetto a una violazione della policy sulle password in una workstation d’ufficio. Le piattafome di Cyber Threat Exposure Management permettono di comprendere quali esposizioni minacciano direttamente la sicurezza o la disponibilità dell’acqua e stabilire le priorità in base all’impatto reale.
• Convalida dei percorsi di attacco – Se gli Stati-nazione testano i movimenti laterali, i servizi pubblici dovrebbero adottare lo stesso approccio. Nel 2024, gli aggressori in Texas non avevano bisogno di “prendere il controllo” dell’impianto: è bastata la manipolazione del livello di traboccamento di un serbatoio, resa possibile da connessioni fragili tra IT e OT. Per questo motivo, simulare come un avversario potrebbe muoversi dall’ambiente IT a quello OT non è più facoltativo, ma essenziale all’interno di un programma di sicurezza moderno.
• Ricerca e rilevamento delle minacce basati sull’intelligenza artificiale – Se gli aggressori informatici utilizzano l’intelligenza artificiale, anche i difensori devono farlo. I SOC non possono più affidarsi a rilevamenti statici quando i malfattori sono in grado di modificare le caratteristiche di un attacco in pochi secondi. Per questo, infatti, le piattaforme di Cyber Threat Exposure Management che applicano sistemi di rilevamento precoce e ricerca guidata basati sull’IA supereranno gli strumenti tradizionali.
• Governance e pianificazione della resilienza – Il 70% delle aziende idriche intervistate dalla CISA lo scorso anno non disponeva di un piano testato di risposta agli incidenti informatici. Il Cyber Threat Exposure Management non è un progetto da attuare una sola volta, ma un processo continuo che serve a verificare se persone, processi e politiche siano davvero pronti a reagire a eventuali interruzioni. Ciò significa organizzare esercitazioni di simulazione, condurre valutazioni dei rischi lungo la supply chain e predisporre piani operativi di recupero. Allo stesso tempo, il CTEM richiede la capacità di adattarsi costantemente ai nuovi metodi e strumenti (TTP) utilizzati dagli attaccanti, comprendendo come la comunità della sicurezza possa contrastarli con il minimo impatto e la massima efficacia.

La necessità urgente di rafforzare le difese idriche

L’acqua è una risorsa vitale. E, in un’epoca in cui i conflitti informatici coinvolgono sempre più spesso gli Stati-nazione, rappresenta anche un’infrastruttura particolarmente esposta. Non possiamo aspettare un altro incidente per comprendere che limitarsi a gestire un inventario degli asset non è sufficiente a garantire la sicurezza dei nostri sistemi idrici.

Il Cyber Threat Exposure Management offre agli impianti idrici e di trattamento delle acque reflue un quadro operativo completo, che permette di andare oltre la semplice “visibilità” per raggiungere una vera resilienza. Attraverso la gestione, la prioritizzazione e la risoluzione continua delle esposizioni, le organizzazioni possono intervenire prima che le vulnerabilità vengano sfruttate. Se le infrastrutture pubbliche non rafforzeranno ora le proprie difese, la rete idrica continuerà a rappresentare un potenziale punto debole nel panorama della sicurezza, un rischio che non possiamo permetterci di ignorare.